CVE-2026-86218-N-central-IOC-Toolkit

Kit defensivo de IOC e detecção para CVE-2026-86218, uma RCE crítica de pré-autenticação no N-able N-central. Inclui IOCs, scanner de logs, detecções Sigma, Splunk, Elastic/KQL e orientações de resposta a incidentes.

Uma coleção de Indicadores de Compromisso (IOC) mantida pela comunidade e focada em defensores, scanner de caça a logs, conteúdo de deteção Sigma/Splunk/Elastic e manual de remediação para CVE-2026-86218 — uma vulnerabilidade de execução remota de código não autenticada de severidade máxima (CVSS 10.0) no N-able N-central, uma plataforma de Monitorização e Gestão Remota (RMM) local e alojada amplamente utilizada por Fornecedores de Serviços Geridos (MSPs).

Este repositório existe para dar aos respondedores de incidentes, equipas de segurança de MSPs, analistas de SOC e caçadores de ameaças um único local para:

• Compreender o que é o CVE-2026-86218 e como está a ser explorado
• Extrair IOCs legíveis por máquina (IPs, domínios, padrões de conta/log) para ingestão em SIEM, firewall e EDR
• Executar um scanner Python pronto a usar contra os logs do N-central para detetar comprometimento
• Implementar regras de deteção Sigma, Splunk SPL e Elastic/KQL
• Seguir uma lista de verificação passo a passo de aplicação de patches e resposta a incidentes

⚠️ Este é um kit de ferramentas defensivo. Não existe código de exploração, PoC ou payload armado neste repositório. Existe unicamente para ajudar os defensores a detetar e remediar a exploração do CVE-2026-86218.

Índice

• Resumo da Vulnerabilidade
• Cronologia
• Produtos e Versões Afetados
• Como Funciona a Exploração
• Indicadores de Compromisso (IOCs)
• Estrutura do Repositório
• Início Rápido — Executar o Scanner de IOC
• Conteúdo de Deteção
• Remediação e Orientação de Patches
• Lista de Verificação de Resposta a Incidentes
• Perguntas Frequentes
• Referências e Créditos
• Aviso Legal
• Contribuir
• Licença

Resumo da Vulnerabilidade

Porque Isto Importa para os MSPs

O N-central é um multiplicador de força de um-para-muitos. Um único servidor N-central comprometido normalmente contém:

• Credenciais privilegiadas para todos os endpoints geridos de todos os clientes a jusante
• Capacidade de execução remota de scripts / "Take Control" sobre servidores e estações de trabalho geridos, incluindo controladores de domínio
• Topologia de rede, inventário de ativos e dados de configuração para todos os ambientes geridos

Um RCE pré-autenticação contra o próprio servidor significa que um atacante sem quaisquer credenciais pode potencialmente pivotar para todas as organizações que o MSP gere — é por isso que o CVE-2026-86218 recebeu uma pontuação perfeita de CVSS 10.0.

Cronologia

Quatro hotfixes em cinco semanas em três cadeias de vulnerabilidade distintas (CVE-2026-18556/18577 em agosto; CVE-2026-86206/86207 e CVE-2026-86218 em setembro) fazem do N-central uma das plataformas MSP mais visadas de 2026.

Produtos e Versões Afetados

• Produto: N-able N-central
• Tipos de implementação: Local (auto-alojado) e Alojado (NCOD)
• Afetados: Todas as builds anteriores a 2026.3.1.14
• Não afetados / remediados: 2026.3.1.14 e posteriores (Hotfix 4). As instâncias alojadas/NCOD foram corrigidas diretamente pela N-able — nenhuma ação do cliente é necessária para NCOD.
• SO subjacente: Os appliances N-central executam uma distribuição personalizada AlmaLinux 9 e — notavelmente — raramente têm EDR/AV implementado no próprio appliance porque é tratado como um appliance selado. Isto aumenta materialmente o risco de tempo de permanência.

Estou afetado?```

N-central version < 2026.3.1.14 → VULNERABLE, patch immediately N-central version = 2026.3.1.14+ → Patched against CVE-2026-86218

Início Rápido — Executar o Scanner de IOC

O scanner (scripts/cve_2026_86218_ioc_scanner.py) é uma ferramenta Python 3 somente leitura e offline. Ele nunca contacta diretamente o seu servidor N-central — você exporta ou copia os ficheiros de log relevantes localmente e depois aponta o scanner para eles. Ele:

• Compara linhas de log com todos os IPs/domínios maliciosos conhecidos
• Sinaliza anomalias em nomes de conta no estilo .invalid
• Sinaliza pedidos de reconhecimento getPierDetails
• Sinaliza anomalias em caminhos de API com codificação URL %2F
• Sinaliza a etiqueta de conta de túnel Cloudflare maliciosa conhecida
• Produz um relatório de descobertas em JSON e CSV com severidade e indicador correspondido

1. Clonar o repositório```bash

git clone https://github.com/jithinkrishnanrs/CVE-2026-86218-N-central-IOC-Toolkit.git cd CVE-2026-86218-N-central-IOC-Toolkit pip install -r scripts/requirements.txt

Isso verifica envoy_proxy_HTTPS.log, syslog, ui_access_control.log e quaisquer outros arquivos .log/.log.gz/.txt no diretório de destino (recursivamente), incluindo arquivos de log compactados com gzip.

3. Revise a saída```bash

findings_report.json # full machine-readable findings findings_report.csv # spreadsheet-friendly summary

Referência completa da CLI: execute python3 scripts/cve_2026_86218_ioc_scanner.py --help.

Conteúdo de Detecção (Sigma / Splunk / Elastic)

Regras de detecção prontas para importação estão disponíveis em detection/:

• Sigma (detection/sigma/*.yml) — agnóstico de fornecedor; converta com sigma-cli para Splunk, Elastic, Sentinel, QRadar, etc.
• Splunk SPL (detection/splunk/cve-2026-86218_spl_queries.spl) — pesquisas prontas para execução
• Elastic / KQL (detection/elastic/cve-2026-86218_kql_queries.md) — consultas prontas para execução no Kibana / Elastic Security

Detecções cobertas:

1. Conexões de IP/domínio de IOC para/de infraestrutura N-central
2. Criação/modificação de contas com sufixo .invalid
3. Sondagem de reconhecimento getPierDetails
4. Persistência não autorizada do serviço/túnel Cloudflared
5. Atividade anômala de sessão do Windows Take Control (Event IDs 4102/8192/8193) a partir de IPs de origem não padrão

Orientação de Remediação e Correção

Aplique o patch imediatamente — esta é a correção primária e a única completa.

1. N-central on-premises: Atualize para N-central 2026.3 Hotfix 4 (build 2026.3.1.14). Se você já aplicou o HF3 (2026.3.1.13), você ainda está vulnerável ao CVE-2026-86218 e deve atualizar novamente para o HF4.
2. N-central hospedado (NCOD): Nenhuma ação do cliente é necessária — a N-able já corrigiu as instâncias hospedadas.
3. Não é possível aplicar o patch imediatamente? Coloque o appliance offline ou restrinja totalmente o acesso de entrada (allowlist de IP / somente VPN) até que você possa aplicar o patch. Não deixe um servidor N-central sem patch e exposto à internet em execução.
4. Após aplicar o patch: Não presuma que está limpo — faça a caça usando o scanner de IOC e as regras de detecção deste repositório antes de considerar o incidente encerrado.

Orientação completa passo a passo: docs/REMEDIATION.md.

Checklist de Resposta a Incidentes

Uma versão condensada — checklist completo em docs/INCIDENT_RESPONSE_CHECKLIST.md:

• Confirme o número de build atual do N-central; aplique o patch para 2026.3.1.14 (HF4)
• Restrinja o acesso ao console do N-central a VPN/IPs em allowlist; imponha MFA em todas as contas
• Execute scripts/cve_2026_86218_ioc_scanner.py contra envoy_proxy_HTTPS.log, syslog e logs de acesso da UI
• Audite todas as contas de usuário do N-central em busca de anomalias no estilo .invalid, administradores inesperados ou permissões afrouxadas
• Revise os logs de sessão do Take Control / controle remoto em busca de IPs de visualizador não reconhecidos, especialmente contra controladores de domínio
• Verifique endpoints Windows gerenciados em busca de artefatos em C:\ProgramData\GetSupportService_N-Central\Logs\ correlacionados com IPs de IOC
• Procure por serviços/tarefas agendadas Cloudflared e svchost.exe fora de lugar em pastas Documents de usuários
• Faça referência cruzada de quaisquer ocorrências com os Windows Event IDs 4102, 8192, 8193
• Se a comprometimento for confirmado: rotacione todas as credenciais do N-central, chaves de API e credenciais armazenadas de dispositivos gerenciados; presuma que ambientes de clientes downstream podem estar afetados e delimite o escopo adequadamente
• Reporte o comprometimento confirmado ao suporte da N-able e, quando aplicável, à CISA / ao seu CERT nacional

Notas de Detecção / Ressalvas Importantes

• O próprio aviso e as notas de versão da N-able para o CVE-2026-86218 não contêm nenhum IOC publicado no momento da redação.
• A Huntress afirma explicitamente que não reproduziu o CVE-2026-86218 e não observou comprometimentos de exploração definitivamente atribuíveis a este CVE específico em sua telemetria — um comprometimento anterior que investigou não pôde ser atribuído a um CVE específico porque os logs do appliance haviam sido rotacionados antes do início da análise.
• Os avisos de incidente/cliente da N-able descrevem exploração "observada em ambiente real", enquanto as notas de versão públicas da N-able afirmam que não há confirmação de exploração em ambientes de produção. Ambas as declarações são refletidas aqui por transparência — consulte Referências para as fontes primárias.
• A ausência de correspondências de IOC não significa que você não está comprometido. Dado o logging padrão rotacionado/limitado no appliance, uma varredura limpa deve ser tratada como inconclusiva, não como prova de ausência de comprometimento. Aplique o patch de qualquer forma.

Perguntas Frequentes

Consulte docs/FAQ.md para a lista completa. Destaques:

Existe um PoC/exploit público para o CVE-2026-86218? Não neste repositório, e nenhum foi publicado de forma responsável pelo pesquisador relator ou pela N-able até o momento desta redação. Este repositório é apenas de detecção/IOC por design.

O CVE-2026-86218 é o mesmo que o CVE-2026-86206/86207? Não. O CVE-2026-86206/86207 (divulgado em 5 de setembro) é uma cadeia separada de bypass de autenticação que permite a criação não autorizada de contas de administrador. O CVE-2026-86218 (divulgado em 6 de setembro) é um RCE distinto e não relacionado de injeção de código estático pré-autenticação. Eles foram divulgados com um dia de diferença e ambos exigiram hotfixes urgentes, o que causou confusão na comunidade.

Aplicar o patch para o HF4 também corrige os problemas de agosto/CVE-2026-18556/18577 e CVE-2026-86206/86207? Sim — o HF4 substitui o HF3, HF2 e HF1, portanto um appliance 2026.3.1.14 totalmente corrigido aborda todos os cinco CVEs do N-central de 2026 divulgados até o momento.

Meu servidor N-central não tem EDR — isso é normal? Sim, e é um fator de risco conhecido. Os appliances N-central executam uma build personalizada do AlmaLinux 9 e são comumente tratados como um appliance selado, sem ferramentas de segurança de endpoint instaladas no próprio appliance. Compense com segmentação de rede estrita, encaminhamento de logs para um SIEM e monitoramento externo.

Referências e Créditos

• N-able Security Advisory — CVE-2026-86218: https://me.n-able.com/s/security-advisory/aArVy0000002Ld3KAE/cve202686218-preauthentication-remote-code-execution
• N-able Status / Hotfix 4 Release Notes: https://status.n-able.com/2026/09/06/n-central-2026-3-hotfix-4-cve-2026-86218/
• N-able Active Incident Page: https://uptime.n-able.com/event/201814/
• Huntress — "Rapid Response: Critical N-able N-central Vulnerability and Active Exploitation": https://www.huntress.com/blog/n-able-vulnerability-exploitation
• The Hacker News — "N-able N-central Pre-Auth RCE Flaw Exploited in the Wild": https://thehackernews.com/2026/09/n-able-n-central-pre-auth-rce-flaw.html
• The Hacker News — "N-able Issues Fourth N-central Hotfix in Five Weeks": https://thehackernews.com/2026/09/n-able-issues-fourth-n-central-hotfix.html
• Help Net Security — "N-able patches critical N-central zero-day exploited in the wild": https://www.helpnetsecurity.com/2026/09/07/n-able-n-central-hotfix-cve-2026-86218/
• OpenCVE — CVE-2026-86218 enrichment: https://app.opencve.io/cve/CVE-2026-86218
• VulDB — CVE-2026-86218 in N-central: https://vuldb.com/cve/CVE-2026-86218
• Arctic Wolf — "Active Exploitation of N-able N-central": https://arcticwolf.com/resources/blog/cve-2026-86218/
• Ionix Threat Center — CVE-2026-86218: https://www.ionix.io/threat-center/cve-2026-86218/
• CISA Known Exploited Vulnerabilities (KEV) Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• MITRE CVE Record: https://www.cve.org/CVERecord?id=CVE-2026-86218

Todos os dados de IOC e descrições de tradecraft neste repositório são provenientes e parafraseados dos avisos publicamente disponíveis acima. Este repositório não adiciona nenhuma pesquisa original de vulnerabilidade — ele existe puramente para agregar, estruturar e operacionalizar informações públicas para defensores. Todo o crédito pela descoberta, divulgação e análise originais pertence à N-able e à Huntress Labs.

Isenção de Responsabilidade

Este repositório é fornecido apenas para fins de segurança defensiva, caça a ameaças e resposta a incidentes.

• Ele não contém nenhum código de exploit, nenhuma prova de conceito e nenhum payload weaponizado.
• Os IOCs (IPs, domínios, hashes, tags) podem se tornar obsoletos, ser reutilizados por atores não relacionados ou ser reatribuídos (por exemplo, nós de saída de VPN) ao longo do tempo — sempre corrobore com contexto adicional antes de tomar medidas como bloqueio ou encerramento.
• O(s) mantenedor(es) deste repositório não são afiliados à N-able, Huntress Labs, CISA ou qualquer organização aqui referenciada.
• O uso do scanner incluído contra sistemas que você não possui ou não tem autorização explícita para testar/monitorar pode violar a lei aplicável. Você é o único responsável pelo uso legal.
• As informações aqui estão atualizadas até a data do último commit e podem não refletir as atualizações mais recentes do aviso — sempre faça uma verificação cruzada com o aviso oficial da N-able antes de tomar decisões de remediação.

Contribuindo

Pull requests são bem-vindos — especialmente:

• IOCs recém-publicados especificamente para o CVE-2026-86218 (por favor, cite uma fonte primária)
• Conteúdo adicional de detecção Sigma/Splunk/Elastic/Sentinel/QRadar
• Melhorias no scanner (novos formatos de log, desempenho, ajuste de falsos positivos)
• Correções à linha do tempo/detalhes técnicos conforme a N-able publica mais informações

Consulte a orientação de CONTRIBUTING em docs/FAQ.md ou simplesmente abra um PR/issue.

Licença

Lançado sob a MIT License. Os dados de IOC em si são agregados de avisos públicos de fornecedores/pesquisadores (consulte Referências) e são fornecidos como estão, sem garantia de precisão ou completude.

Palavras-chave

CVE-2026-86218 N-able N-central RMM security pre-auth RCE remote code execution static code injection CWE-96 CISA KEV MSP security IOC list indicators of compromise threat hunting incident response Sigma rules Splunk detection Elastic detection vulnerability scanner N-central hotfix zero-day RMM exploit supply chain attack MSP N-central patch Huntress Labs Take Control abuse Cloudflare tunnel persistence